信息系統(tǒng)等級(jí)保護(hù)建設(shè)思路

文 | 肖國煜 戰(zhàn)小漪 郭淑琴

《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見》（中辦發(fā)[2003]27號(hào)），明確指出將等級(jí)保護(hù)制度作為我國信息安全領(lǐng)域的一項(xiàng)基本制度。2010年發(fā)布的《關(guān)于推動(dòng)信息安全等級(jí)保護(hù)測(cè)評(píng)體系建設(shè)和開展等級(jí)測(cè)評(píng)工作的通知》（公信安 [2010]303號(hào)）明確指出，“2011年底前完成第三級(jí)（含）以上信息系統(tǒng)的測(cè)評(píng)工作，2012年底之前完成第三級(jí)（含）以上信息系統(tǒng)的安全建設(shè)整改工作?！痹谥贫缺ＷC的前提下，各企業(yè)和組織要明確信息系統(tǒng)等級(jí)保護(hù)建設(shè)思路，才能事半功倍，確實(shí)提升信息系統(tǒng)安全保障能力。

信息安全等級(jí)保護(hù)的情況介紹

實(shí)施信息安全等級(jí)保護(hù)，能夠有效地提高我國信息和信息系統(tǒng)安全建設(shè)的整體水平，有利于在信息化建設(shè)過程中同步建設(shè)信息安全設(shè)施，保障信息安全與信息化建設(shè)相協(xié)調(diào)；有利于為信息系統(tǒng)安全建設(shè)和管理提供系統(tǒng)性、針對(duì)性、可行性的指導(dǎo)和服務(wù)，有效控制信息安全建設(shè)成本；有利于優(yōu)化信息安全資源的配置，重點(diǎn)保障基礎(chǔ)信息網(wǎng)絡(luò)和關(guān)系國家安全、經(jīng)濟(jì)命脈、社會(huì)穩(wěn)定等方面的重要信息系統(tǒng)的安全；有利于明確國家、法人和其他組織、公民的信息安全責(zé)任，加強(qiáng)信息安全管理；有利于推動(dòng)信息安全產(chǎn)業(yè)的發(fā)展。

國內(nèi)信息安全等級(jí)保護(hù)工作的開展是一個(gè)隨著計(jì)算機(jī)技術(shù)的發(fā)展和業(yè)務(wù)對(duì)計(jì)算機(jī)系統(tǒng)依賴性逐漸增加，不斷發(fā)展和完善起來的。《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見》正式出臺(tái)，明確提出非涉密信息系統(tǒng)遵循等級(jí)保護(hù)思想進(jìn)行信息安全建設(shè)。公安部網(wǎng)絡(luò)安全保衛(wèi)局在全國開展等級(jí)保護(hù)工作試點(diǎn)，先后發(fā)布了信息系統(tǒng)定級(jí)、備案、整改建設(shè)、等級(jí)測(cè)評(píng)等各重要環(huán)節(jié)的有關(guān)文件，指導(dǎo)等級(jí)保護(hù)工作開展。其中2009年的公信安1429號(hào)文《關(guān)于開展信息安全等級(jí)保護(hù)安全建設(shè)整改工作的指導(dǎo)意見》明確提出2012年年底前完成已定級(jí)信息系統(tǒng)的整改工作。

等級(jí)保護(hù)的技術(shù)體系也基本成型，目前涉及到等級(jí)保護(hù)建設(shè)的技術(shù)標(biāo)準(zhǔn)和規(guī)范大約有30多個(gè)，主要包括了技術(shù)、管理、產(chǎn)品、建設(shè)流程等各方面的內(nèi)容，如：定級(jí)指南、備案細(xì)則、實(shí)施指南、安全設(shè)計(jì)、基本要求、測(cè)評(píng)過程要求、測(cè)評(píng)指南，使得等級(jí)保護(hù)工作在各個(gè)環(huán)節(jié)都有具體的技術(shù)標(biāo)準(zhǔn)可以參考。

工作思路與建設(shè)原則

對(duì)于具有分支機(jī)構(gòu)的大型企業(yè)組織來說，信息安全工作已經(jīng)有等級(jí)保護(hù)的制度和技術(shù)體系做依托，更多的是在實(shí)踐中摸索出適合本企業(yè)組織信息系統(tǒng)安全建設(shè)的工作思路與建設(shè)原則。

統(tǒng)一規(guī)劃、統(tǒng)一標(biāo)準(zhǔn)、統(tǒng)籌協(xié)調(diào)

統(tǒng)一規(guī)劃：統(tǒng)一制訂規(guī)劃建設(shè)推進(jìn)方案、等級(jí)保護(hù)工程建設(shè)方法，各信息系統(tǒng)均需要參照規(guī)劃方案實(shí)施，不能自行規(guī)劃。

統(tǒng)一標(biāo)準(zhǔn)：統(tǒng)一組織制訂等級(jí)保護(hù)建設(shè)的流程、步驟、技術(shù)和管理規(guī)范，確保上下銜接、互聯(lián)互通。

統(tǒng)籌協(xié)調(diào)：統(tǒng)籌全局，協(xié)調(diào)各分支機(jī)構(gòu)或各業(yè)務(wù)系統(tǒng)之間的資源共享、業(yè)務(wù)協(xié)同，聯(lián)合推進(jìn)等級(jí)保護(hù)建設(shè)。

分級(jí)建設(shè)、分步實(shí)施、分類指導(dǎo)

分級(jí)建設(shè)：統(tǒng)一組織等級(jí)保護(hù)項(xiàng)目建設(shè)；各分支機(jī)構(gòu)在總體方案的指導(dǎo)下，負(fù)責(zé)信息系統(tǒng)在本區(qū)域范圍內(nèi)的建設(shè)和安全運(yùn)營維護(hù)。

分步實(shí)施：根據(jù)目前等級(jí)保護(hù)項(xiàng)目建設(shè)基礎(chǔ)條件和特點(diǎn)，采用分批分期建設(shè)方式開展項(xiàng)目建設(shè)。

分類指導(dǎo)：對(duì)于不同的信息系統(tǒng)，采用不同的組織管理模式、工作機(jī)制和推進(jìn)方式。

加強(qiáng)管理

加強(qiáng)管理：落實(shí)等級(jí)保護(hù)項(xiàng)目建設(shè)組織機(jī)構(gòu)、責(zé)任部門，科學(xué)調(diào)度，加強(qiáng)項(xiàng)目過程管理，確保項(xiàng)目取得成功。

建設(shè)原則

法規(guī)遵循：應(yīng)嚴(yán)格執(zhí)行國家法律法規(guī)、相關(guān)主管部門的要求。

科學(xué)管理：嚴(yán)謹(jǐn)、先進(jìn)的技術(shù)項(xiàng)目實(shí)施與科學(xué)、規(guī)范的項(xiàng)目實(shí)施管理手段相結(jié)合，以提高整體項(xiàng)目實(shí)施的效率，保證項(xiàng)目質(zhì)量，縮短項(xiàng)目工期，降低項(xiàng)目成本。

平穩(wěn)過渡：項(xiàng)目包含子系統(tǒng)較多，且項(xiàng)目需要進(jìn)行網(wǎng)絡(luò)改造，在項(xiàng)目實(shí)施時(shí)，采用分項(xiàng)，循序漸進(jìn)的方式，保證系統(tǒng)改造不影響日常辦公的使用，平穩(wěn)過渡。

適當(dāng)先進(jìn)：綜合考慮本單位實(shí)際情況，在結(jié)合實(shí)際的基礎(chǔ)上，確保建成的信息系統(tǒng)能夠符合當(dāng)前網(wǎng)絡(luò)技術(shù)、信息技術(shù)發(fā)展的趨勢(shì)，具有一定的先進(jìn)性，在未來5年內(nèi)能滿足科研生產(chǎn)任務(wù)和國家法律法規(guī)相關(guān)要求的實(shí)際需要。

便于維護(hù)：系統(tǒng)應(yīng)具有良好的可擴(kuò)展性和可維護(hù)性，部署便利、使用簡(jiǎn)便、維護(hù)集中，并可以實(shí)現(xiàn)服務(wù)和應(yīng)用的靈活擴(kuò)展。

重視培訓(xùn)：系統(tǒng)是按計(jì)劃分步實(shí)施的，培訓(xùn)也將隨著項(xiàng)目的各個(gè)階段分期進(jìn)行，并根據(jù)培訓(xùn)的效果做出相應(yīng)的調(diào)整，以達(dá)到更好的培訓(xùn)的效果。

信息安全保障體系總體框架

信息安全保障體系總體框架

在進(jìn)行信息安全等級(jí)保護(hù)安全建設(shè)工作中，嚴(yán)格遵循國家等級(jí)保護(hù)有關(guān)規(guī)定和標(biāo)準(zhǔn)規(guī)范要求，堅(jiān)持管理和技術(shù)并重的原則，將技術(shù)措施和管理措施有機(jī)結(jié)合，建立信息系統(tǒng)綜合防護(hù)體系，提高信息系統(tǒng)整體安全保護(hù)能力。非涉密信息系統(tǒng)總體安全框架如圖1所示。

總體安全框架是將等級(jí)保護(hù)基本要求、技術(shù)設(shè)計(jì)要求與安全防護(hù)需求充分融合，采用“一個(gè)中心、兩大體系、三重防護(hù)”為企業(yè)組織提供體系化的防護(hù)能力，確保系統(tǒng)安全運(yùn)行。

信息安全管理體系的建設(shè)

信息安全管理制度是信息安全領(lǐng)域各種規(guī)則的制度化的體現(xiàn)，在信息化相關(guān)活動(dòng)中起著統(tǒng)一目標(biāo)、規(guī)范流程、保障信息安全實(shí)施效果的重要作用。通過對(duì)信息安全制度規(guī)范的決策，首先從高層確保企業(yè)組織的信息安全工作“有法可依”，推動(dòng)信息安全制度建設(shè)工作，營造一個(gè)積極的信息安全控制環(huán)境。

信息安全管理體系的建設(shè)，我們要考慮以下幾個(gè)方面：一、安全管理制度框架、安全管理制度、規(guī)范、流程及表單；二、信息安全管理機(jī)構(gòu)、崗位；三、人員安全管理；四、系統(tǒng)建設(shè)管理；五、系統(tǒng)運(yùn)維管理；六、合規(guī)性的電子化管理。

企業(yè)組織的等級(jí)保護(hù)工作也需要信息化的手段來進(jìn)行約束。信息系統(tǒng)合規(guī)性監(jiān)管系統(tǒng)就是將等級(jí)保護(hù)相關(guān)基本要求以及風(fēng)險(xiǎn)管理與控制體系建設(shè)方法及過程，按照以重要信息系統(tǒng)為基礎(chǔ)、以等級(jí)保護(hù)建設(shè)工作流為核心、以等級(jí)保護(hù)基本要求進(jìn)行建模、加以等級(jí)保護(hù)控制措施進(jìn)行分析，通過風(fēng)險(xiǎn)評(píng)估看清風(fēng)險(xiǎn)，通過體系建設(shè)制定任務(wù)，通過體系保障完整建設(shè)。從而規(guī)范等級(jí)保護(hù)建設(shè)管理與控制體系的建設(shè)過程，提升組織信息安全風(fēng)險(xiǎn)管理與控制體系的完備性及有效性。

信息安全技術(shù)體系的建設(shè)

信息安全技術(shù)體系規(guī)劃設(shè)計(jì)流程

信息安全技術(shù)體系規(guī)劃設(shè)計(jì)流程包括五個(gè)階段：系統(tǒng)調(diào)研階段、安全域規(guī)劃、系統(tǒng)定級(jí)、技術(shù)體系設(shè)計(jì)、技術(shù)手段落實(shí)。對(duì)應(yīng)的輸出是：業(yè)務(wù)系統(tǒng)調(diào)研文檔、安全域規(guī)劃方案、業(yè)務(wù)系統(tǒng)定級(jí)方案、業(yè)務(wù)系統(tǒng)安全防護(hù)方案、初步設(shè)計(jì)文檔技術(shù)體系部分。

信息安全技術(shù)體系設(shè)計(jì)原則

設(shè)計(jì)信息系統(tǒng)技術(shù)安全解決方案時(shí)，應(yīng)遵循以下原則：

風(fēng)險(xiǎn)（需求）、成本（投入）及效果（收益）相平衡的原則

對(duì)任何一個(gè)信息系統(tǒng)來說，絕對(duì)安全是難以達(dá)到的。信息安全技術(shù)體系建設(shè)的最高原則是風(fēng)險(xiǎn)、成本及效果三原則相結(jié)合的結(jié)果。

綜合性、整體性、一致性原則

一個(gè)組織的信息系統(tǒng)安全防護(hù)是系統(tǒng)工程，必須建立信息安全的完整體系。任何一個(gè)新建項(xiàng)目的設(shè)計(jì)都要遵循該組織有關(guān)信息化建設(shè)或信息安全建設(shè)總體規(guī)劃的要求。

可擴(kuò)展、可發(fā)展性原則

信息安全工作是一個(gè)螺旋上升的過程。在信息安全技術(shù)體系設(shè)計(jì)時(shí)要充分繼承該組織現(xiàn)有的信息安全基礎(chǔ)設(shè)施，避免重復(fù)投資。同時(shí)平衡考慮滿足當(dāng)前正在建設(shè)的業(yè)務(wù)應(yīng)用及未來的業(yè)務(wù)發(fā)展要求。

信息安全技術(shù)建設(shè)工作步驟

信息安全技術(shù)體系建設(shè)涉及業(yè)務(wù)領(lǐng)域的各個(gè)環(huán)節(jié)，在風(fēng)險(xiǎn)評(píng)估的基礎(chǔ)上，結(jié)合實(shí)際業(yè)務(wù)應(yīng)用，根據(jù)各系統(tǒng)訪問控制需求，科學(xué)、合理的劃分“安全域”，是整個(gè)信息安全技術(shù)體系建設(shè)的首要工作。

安全域劃分

通過劃分安全域，明確網(wǎng)絡(luò)邊界，才能便于實(shí)現(xiàn)網(wǎng)絡(luò)區(qū)域、物理區(qū)域之間的有效隔離和訪問控制。安全域劃分的目的是把一個(gè)大規(guī)模復(fù)雜系統(tǒng)的安全問題，化解為更小區(qū)域的安全保護(hù)問題，是實(shí)現(xiàn)大規(guī)模復(fù)雜信息系統(tǒng)安全等級(jí)保護(hù)的有效方法。

在企業(yè)或組織中，我們通常會(huì)看到這樣的區(qū)域互聯(lián)網(wǎng)業(yè)務(wù)發(fā)布區(qū)、企業(yè)內(nèi)網(wǎng)工作區(qū)和數(shù)據(jù)交換區(qū)。具體到一個(gè)重要的信息系統(tǒng)，比如視頻業(yè)務(wù)系統(tǒng)就可以細(xì)化為生產(chǎn)制作區(qū)域、共享區(qū)域、播出區(qū)域、安全管理區(qū)域。

明確安全域的防護(hù)手段

信息安全技術(shù)體系是利用各種安全技術(shù)、產(chǎn)品以及工具作為安全管理和運(yùn)行落實(shí)的重要手段、最終支撐信息安全體系的建設(shè)。防護(hù)手段分了五個(gè)方面：身份認(rèn)證、訪問控制、內(nèi)容安全、監(jiān)控審計(jì)與備份恢復(fù)。這里我們要重點(diǎn)強(qiáng)調(diào)身份認(rèn)證，統(tǒng)一的身份管理和統(tǒng)一的認(rèn)證管理是技術(shù)體系的前提保障，有了完善的身份認(rèn)證的基礎(chǔ)架構(gòu)，我們的業(yè)務(wù)才能夠順暢開展，才有可能回答這樣一個(gè)安全問題“什么人、什么時(shí)間、做了什么事情？”

確保防護(hù)手段的合規(guī)性

在選擇安全防護(hù)技術(shù)時(shí)，我們應(yīng)充分考慮遵循國家等級(jí)保護(hù)的相關(guān)技術(shù)標(biāo)準(zhǔn)，以確保合規(guī)性。圖2為信息系統(tǒng)等級(jí)保護(hù)二、三、四級(jí)技術(shù)要求。

確保防護(hù)手段的適應(yīng)性

結(jié)合企業(yè)或組織的現(xiàn)狀、經(jīng)費(fèi)預(yù)算、建設(shè)階段和實(shí)際需求，在各安全域的防護(hù)設(shè)計(jì)過程中充分考慮適應(yīng)性。

計(jì)算環(huán)境的安全防護(hù)設(shè)計(jì)

計(jì)算環(huán)境包含了重要應(yīng)用系統(tǒng)的核心主機(jī)或服務(wù)器、數(shù)據(jù)庫服務(wù)器、存儲(chǔ)系統(tǒng)等。我們重點(diǎn)考慮的是身份鑒別、訪問控制、資源控制數(shù)據(jù)完整性、數(shù)據(jù)保密性與備份恢復(fù)。在這里我們要強(qiáng)調(diào)應(yīng)用開發(fā)環(huán)節(jié)在安全防護(hù)設(shè)計(jì)中的重要性，如編碼安全、基于用戶身份的資源訪問控制和行為審計(jì)、基于應(yīng)用設(shè)計(jì)的流量控制方法，這些都可以有效減少硬件安全產(chǎn)品的部署，提升業(yè)務(wù)連續(xù)性能力。

邊界接入與網(wǎng)絡(luò)設(shè)施安全防護(hù)設(shè)計(jì)

網(wǎng)絡(luò)設(shè)施主要包括了網(wǎng)絡(luò)骨干區(qū)域、網(wǎng)絡(luò)接入?yún)^(qū)域。我們可以把它看成公共的基礎(chǔ)性區(qū)域，是企業(yè)各個(gè)應(yīng)用系統(tǒng)出口的高速公路，是企業(yè)連續(xù)性要求的重要依托。我們強(qiáng)調(diào)的是結(jié)構(gòu)化的安全、安全審計(jì)與網(wǎng)絡(luò)設(shè)備自身的防護(hù)。

終端接入安全防護(hù)設(shè)計(jì)

隨著企業(yè)和組織的業(yè)務(wù)發(fā)展，組網(wǎng)技術(shù)的發(fā)展，終端的定義越來越寬泛，接入的形式也越來越多樣化。信息安全問題直接延伸到企業(yè)人員使用的端點(diǎn)設(shè)備上。我們應(yīng)重點(diǎn)強(qiáng)調(diào)身份鑒別、惡意代碼防范和用戶行為控制，同時(shí)也要意識(shí)到易用性與安全的平衡。

信息安全運(yùn)維體系的建設(shè)

企業(yè)和組織的信息化過程已經(jīng)從大規(guī)模建設(shè)階段逐步轉(zhuǎn)型為“建設(shè)和運(yùn)維”并舉的階段。我們可以看到大多數(shù)的信息安全運(yùn)維體系的服務(wù)水平處在一個(gè)被動(dòng)的階段。主要表現(xiàn)在信息技術(shù)和設(shè)備的應(yīng)用越來越多，但運(yùn)維人員在信息系統(tǒng)出現(xiàn)安全事件的時(shí)候卻茫然不知所措。因此，行之有效的信息安全運(yùn)維體系，是信息安全管理體系與信息安全技術(shù)體系落地的根本之道。

運(yùn)維服務(wù)的發(fā)展趨勢(shì)與階段劃分

安全運(yùn)維服務(wù)通常可以分為五個(gè)階段：混亂、被動(dòng)、主動(dòng)、服務(wù)和價(jià)值階段?！癗SM→ITSM→BSM”將是IT管理逐步提升的經(jīng)典路線模型，反映了IT的運(yùn)營作為一個(gè)新興的企業(yè)活動(dòng)逐步成熟，持續(xù)提升。NSM（針對(duì)IT技術(shù)設(shè)施的網(wǎng)絡(luò)系統(tǒng)管理）、ITSM（針對(duì)流程、人員管理的IT服務(wù)管理），BSM（業(yè)務(wù)服務(wù)管理）這些目前已經(jīng)被廣泛應(yīng)用的理念，在IT管理的發(fā)展過程中，發(fā)揮了巨大的作用。

安全運(yùn)維體系的構(gòu)建

目前條件下的安全運(yùn)維體系可以分三個(gè)階段構(gòu)建：

第一階段：從“被動(dòng)響應(yīng)”到“主動(dòng)管理”，是采用NSM實(shí)現(xiàn)管理提升的階段。通過實(shí)現(xiàn)對(duì)技術(shù)元素的數(shù)據(jù)收集和分析，獲得從整個(gè)IT信息環(huán)境到每個(gè)計(jì)算實(shí)體元素的運(yùn)行狀態(tài)信息，因此也能夠在故障發(fā)生時(shí)或者發(fā)生之前采取主動(dòng)的管理操作，實(shí)現(xiàn)對(duì)IT技術(shù)設(shè)施的有效掌控和管理，有效提高IT環(huán)境的運(yùn)行質(zhì)量。建立安全運(yùn)維監(jiān)控中心實(shí)現(xiàn)第一階段目標(biāo)

第二階段：從“主動(dòng)管理”到“服務(wù)導(dǎo)向”，采用ITSM實(shí)現(xiàn)管理提升。在實(shí)現(xiàn)了對(duì)所有IT技術(shù)元 素的全面監(jiān)控以后，IT技術(shù)設(shè)施的運(yùn)行質(zhì)量有了明顯改善，但仍未從根本上解決“意外問題”的發(fā)生。全球范圍內(nèi)的調(diào)查表明，IT問題的出現(xiàn)，除了和設(shè)備元素本身的可靠性、性能等密切相關(guān)以外，更多的問題（超過80%）是由于IT運(yùn)維人員沒有按照規(guī)范的操作流程來進(jìn)行日常的維護(hù)管理，缺乏有效的協(xié)同機(jī)制等造成的。也就是說，管理的缺位，而不是技術(shù)設(shè)施本身的問題阻礙了企業(yè)IT部門工作效率的提高。借鑒并融合ITIL（信息系統(tǒng)基礎(chǔ)設(shè)施庫）/ITSM（IT服務(wù)管理）建立安全運(yùn)維事件響應(yīng)中心，借助圖形化、可配置的工作流程管理系統(tǒng)，將運(yùn)維管理工作以任務(wù)和工作單傳遞的方式，通過科學(xué)的、符合用戶運(yùn)維管理規(guī)范的工作流程進(jìn)行處置，處理過程電子化流轉(zhuǎn)、減少人工錯(cuò)誤，實(shí)現(xiàn)對(duì)事件、問題處理過程中的各個(gè)環(huán)節(jié)的追蹤、監(jiān)督和審計(jì)。

第三階段：從“服務(wù)管理”到“業(yè)務(wù)價(jià)值”，采用BSM實(shí)現(xiàn)管理提升。在信息時(shí)代，企業(yè)的發(fā)展和 IT環(huán)境的成熟是一個(gè)互相驅(qū)動(dòng)、交替上升的過程。商業(yè)社會(huì)中，企業(yè)作為一個(gè)經(jīng)濟(jì)運(yùn)行實(shí)體，其所有的活動(dòng)和投入都是圍繞利益產(chǎn)出的目標(biāo)進(jìn)行的。在當(dāng)前激烈的商業(yè)競(jìng)爭(zhēng)環(huán)境中，企業(yè)正不斷地進(jìn)行變革，以適應(yīng)市場(chǎng)和用戶的需求。作為業(yè)務(wù)重要支撐元素的IT正面臨著越來越大的挑戰(zhàn)。如何充分利用已有的IT資源并持續(xù)優(yōu)化資源配置，如何實(shí)現(xiàn)IT和業(yè)務(wù)目標(biāo)相統(tǒng)一、持續(xù)推動(dòng)業(yè)務(wù)發(fā)展、創(chuàng)造商業(yè)價(jià)值，已經(jīng)成為眾多企業(yè)信息部門主管、CIO、甚至更高層管理人員的重要難題。建立以信息資產(chǎn)管理為核心的安全運(yùn)維審核評(píng)估中心是這一階段的工作目標(biāo)。能夠?qū)崿F(xiàn)信息系統(tǒng)運(yùn)行質(zhì)量、服務(wù)水平、運(yùn)維管理工作績(jī)效的綜合評(píng)估、考核、審計(jì)；能夠?qū)崿F(xiàn)關(guān)鍵業(yè)務(wù)的配置管理、關(guān)鍵業(yè)務(wù)與基礎(chǔ)設(shè)施的關(guān)聯(lián)、關(guān)鍵業(yè)務(wù)的綜合運(yùn)行態(tài)勢(shì)的把握。

結(jié)束語

在信息安全保障體系總體框架的指導(dǎo)下，注重信息安全管理體系、技術(shù)體系和運(yùn)維體系的建設(shè)。充分意識(shí)到等級(jí)保護(hù)建設(shè)整改過程中的政策和技術(shù)發(fā)展的風(fēng)險(xiǎn)，注重安全技術(shù)手段的適用性，就可以有效地解決企業(yè)和組織面臨的安全問題，按照“明確重點(diǎn)、突出重點(diǎn)、保護(hù)重點(diǎn)”的原則，將有限的財(cái)力、物力、人力投入到重要信息系統(tǒng)的安全保護(hù)中，逐步推進(jìn)企業(yè)信息系統(tǒng)安全保障水平。